Filtriranje DNS prek VPN je ustavilo nalaganje spletnega mesta: preberite odgovor
Filtrirajoči razreševalnik lahko blokira eno ime, medtem ko tunel deluje. Preberite vrsto odgovora, ugotovite, kdo je lastnik razreševalnika, in spremenite le tisto, kar nadzorujete.
Eno ime spodleti, medtem ko je tunel aktiven, in brskalnik to imenuje omrežna napaka, čeprav je pravi vzrok odgovor DNS, ki ga je vrnil razreševalnik. Filtrirajoči razreševalnik lahko eno ime zadrži, zavrne ali prepiše in pusti vse druge poizvedbe delujoče. Tunel prenaša poizvedbo; razreševalnik odloči o odgovoru. Preverite ta odgovor, preden se dotaknete nastavitev šifriranja.
Tunel je aktiven, zato šifriranje ni osumljenec
Stanje povezave pove, ali se paketi premikajo, ne pa, ali se ime razreši. Razreševanje je poizvedba na strežnik, s katerim je odjemalec konfiguriran, in politika tam lahko eni domeni odgovori drugače kot vsem drugim. Z vidika brskalnika se vsi ti odgovori zlijejo v splošno napako, zato indikator stanja dokaže tako malo.
Najprej zapišite tri stvari: razreševalnik, ki ga je uporabil odjemalec, kodo odgovora za ime, ki spodleti, in isto poizvedbo za ime, ki bi moralo delovati. Vprašajte razreševalnik neposredno z dig example.com @10.20.0.1 in berite vrstico stanja, ne sporočila brskalnika. Če se kontrolno ime razreši in spodletelo vrne odgovor politike, je dokaz popoln. Če spodletita oba, filter še ni vpleten.
Štirje odgovori, štirje različni lastniki
Filtrirajoči razreševalnik nima samo enega načina, da reče ne, in oblika zavrnitve kaže na drug naslednji korak. Zapišite kodo odgovora, ker brskalnik vse štiri prepiše v nekaj, kar zveni kot prekinjena povezava.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Primerjajte odgovor s tabelo, preden kar koli pripišete tunelu. Zavrnitev in zadržano ime pomenita, da se je razreševalnik odločil, medtem ko tišina pomeni, da poizvedba nikoli ni prejela odgovora. Ta razlika odloči, ali lovite lastnika politike ali omrežno pot.
Dva brskalnika lahko sledita dvema politikama
Brskalnik, ki prinese svoj šifriran razreševalnik, ni dolžan uporabljati strežnika, ki ga razdeli operacijski sistem, zato lahko ignorira politiko, za katero je bil tunel zgrajen. Dva brskalnika na istem računalniku se potem ne strinjata glede istega imena gostitelja in noben ni pokvarjen. Preverite, na kateri razreševalnik je vezana vsaka aplikacija preden filter označite za nedosleden.
Ko obe aplikaciji uporabljata razreševalnik tunela in spodleti le ena, je razlika v aplikaciji, ne v DNS. Zapišite naslov razreševalnika za vsako aplikacijo, ker ta podrobnost izgine, ko se okno zapre.
Spreminjajte tisto, kar imate, esklirajte tisto, česar ne
Vaš naslednji korak je odvisen od tega, kdo ima razreševalnik, na katerega kažete. Tistega, ki ga upravljate sami, lahko preberete in konfigurirate: preverite dokumentirano možnost filtriranja in njene izjeme, nato dovolite to eno ime. Tistega, ki ga upravlja vaš delodajalec ali ponudnik, je zahtevek z domeno, natančnim odgovorom in časom.
Nikoli ne zamenjajte z javnim razreševalnikom, da bi na silo odprli mesto, ker se zasebna imena prenehajo razreševati in namerna politika preneha veljati. Ozka sprememba ohrani tudi dokaz nedotaknjen, da lahko lastnik primerja vaše poročilo s svojimi zapisi. Po spremembi ponovite prvotni test aplikacije, ne poizvedbe iz lupine.
Stran za blokiranje ni zaupanja vreden certifikat
Nadomestna stran, ki predstavi svoj certifikat, bo sprožila opozorilo o identiteti HTTPS, in preusmeritev tega certifikata ne naredi veljavnega. Ne klikajte skoznjo samo zato, ker je tunel aktiven; opozorilo je ločena odločitev o zaupanju, ki mora biti še vedno pravilna.
Diagnoza se zaključi, ko spodletelo ime vrne odgovor politike in kontrolno ime vrne običajnega prek istega razreševalnika. Takrat je popravilo sprememba politike, ne tunela, in RFC 1035 kode odgovora so tisto, kar citirate v poročilu. Držite obe imeni in odgovore skupaj; to je vsa zgodba.